# 介護事業所の個人情報漏えいの報告手順｜速報3〜5日・確報30日の期限、本人への通知、市町村への事故報告【2026年】

- URL: https://kaigo-tool-navi.com/blog/kojin-joho-roei-hokoku
- 公開: 2026-10-11／更新: 2026-10-11
- 編集: 介護ツールナビ編集部（https://kaigo-tool-navi.com/editorial-policy）
- 要約: 介護事業所で利用者の個人データの漏えい（紙の記録の紛失、誤送付、不正アクセスのおそれを含む）が起きたときは、個人情報保護法第26条により、個人情報保護委員会へ速報（知ってから概ね3〜5日以内）と確報（30日以内。不正の目的によるおそれがあるときは60日以内）を出し、本人に通知します。介護の記録は病歴や障害の事実（要配慮個人情報）を含むため、1人分でも報告の対象です。初動の順番、報告フォームの場所、委託先（介護ソフトの提供元など）で起きたときの扱い、運営基準に基づく市町村への事故報告を、法令と通則編（令和8年6月改正）で確認して整理します。

介護事業所で利用者の個人データの漏えいが起きたときの報告は、個人情報保護法第26条に基づく個人情報保護委員会への報告（速報と確報）と本人への通知、そして介護保険の運営基準に基づく市町村への事故報告の、2つの流れでできています。速報は漏えいを知ってから概ね3〜5日以内、確報は30日以内（不正の目的によるおそれがある漏えいは60日以内）です。介護の記録には病歴や障害の事実（要配慮個人情報）が含まれるため、利用者1人分の漏えいや紛失でも報告の対象になります（2026年10月11日時点の法令と、令和8年6月改正の通則編で確認）。

## 報告が必要になるのはどんなとき：4つの事態

個人情報保護委員会への報告が義務になるのは、個人データの漏えい・滅失・毀損（まとめて「漏えい等」）が、施行規則第7条の4つの事態のどれかにあたるときです。実際に起きたときだけでなく、「発生したおそれがある」ときも含みます。

| 施行規則第7条 | 事態 | 介護事業所での例 |
|---|---|---|
| 第1号 | 要配慮個人情報を含む個人データの漏えい等 | 利用者の記録・アセスメント・ケアプランの紛失、別の事業所や家族への誤送付 |
| 第2号 | 不正に利用されると財産的被害が生じるおそれがある個人データの漏えい等 | 口座振替の情報を含む書類の紛失 |
| 第3号 | 不正の目的をもって行われたおそれがある行為による漏えい等 | 介護ソフトやパソコンへの不正アクセス、ランサムウェアの感染 |
| 第4号 | 本人の数が1,000人を超える漏えい等 | 利用者名簿のデータの流出 |

要配慮個人情報とは、病歴や心身の障害などの、取扱いに特に配慮を要する情報です。厚生労働省のガイダンスは、医療機関や介護関係事業者で想定されるものとして、障害（身体障害、知的障害、精神障害等）の事実などを挙げています。介護の記録や計画書はこれらを含むのがふつうなので、第1号により、人数にかかわらず1件でも報告の対象になります。なお、第1号の対象から「高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたもの」は除かれます。

## 期限：速報は概ね3〜5日以内、確報は30日以内

報告は、まず速報、あとから確報の2回に分けて出します（施行規則第8条）。

| | 速報 | 確報 |
|---|---|---|
| 期限 | 事態を知った後、速やかに。通則編は「概ね3〜5日以内」を目安としています | 知った日から30日以内。第3号（不正の目的のおそれ）にあたるときは60日以内 |
| 内容 | 9項目のうち、その時点で判明している範囲 | 9項目のすべて。確報の時点で分からない項目は、判明次第の追完が認められています |
| 出し方 | 個人情報保護委員会のホームページの報告フォームに入力 | 同じ |

報告する9項目は、①概要 ②漏えい等が発生した（おそれがある）個人データの項目 ③本人の数 ④原因 ⑤二次被害またはそのおそれの有無とその内容 ⑥本人への対応の実施状況 ⑦公表の実施状況 ⑧再発防止のための措置 ⑨その他参考となる事項です。

期限の起算点は、事業者が事態を「知った」時点です。法人の場合は、どこか1つの部署が知った時点が基準になります（通則編3-5-3-3）。現場の職員が気づいた日ではなく、管理者に報告が上がった日から数える、という扱いはできません。確報の30日・60日は、知った日を1日目として数えます。

報告フォームは、個人情報保護委員会の「漏えい等の対応とお役立ち資料」のページから入ります。マイナンバーを含む漏えいは別のフォームになるので、ページの案内に従って選びます。

## 初動の順番：止める→調べる→範囲を確かめる→報告→通知

通則編は「漏えい等事案が発覚した場合に講ずべき措置」として、①事業者内部の報告と被害の拡大防止 ②事実関係の調査と原因の究明 ③影響範囲の特定 ④再発防止策の検討と実施 ⑤個人情報保護委員会への報告と本人への通知、の5つを挙げています。これに運営基準の事故報告を重ねると、介護事業所の初動は次の順になります。

**手順: 漏えいが分かってから確報を出すまで（通則編と運営基準）**

1. 責任者に報告し、被害の拡大を止める — アカウントの停止、パスワードの変更、誤送付した書類の回収など
2. 事実と原因を調べる — いつ・何が・どうして起きたか。やり取りは時系列で記録する
3. 影響の範囲を確かめる — 誰の、どの項目が、何人分か。「おそれ」の段階も含める
4. 速報を出す — 知ってから概ね3〜5日以内。判明している範囲でよい
5. 市町村へ事故報告 — 運営基準の事故発生時の対応。報告の範囲は自治体の要綱で確かめる
6. 本人に通知する — 事態の状況に応じて速やかに。困難なら公表や問合せ窓口で代える
7. 再発防止策を決めて確報を出す — 30日以内（不正の目的のおそれがあるときは60日以内）

速報の段階で全部が分かっている必要はありません。人数や原因が確定していなくても、「いま分かっていること」で速報を出し、確報で埋めます。期限を過ぎてから正確な報告を出すより、期限内に分かっている範囲を出す方が制度の求めに合っています。

## 本人への通知

報告の対象になる事態が起きたときは、本人にも通知します（法第26条第2項）。時期は「事態の状況に応じて速やかに」で（施行規則第10条）、通知する内容は、概要、個人データの項目、原因、二次被害またはそのおそれの有無とその内容、その他参考となる事項の5つです。

本人への通知が難しいときは、代わりの措置をとることが認められています。通則編（3-5-4-5）は、事案の公表や、問合せ窓口を用意して連絡先を公表し、本人が自分の個人データが対象かどうかを確認できるようにすることを、代替措置の例に挙げています。

## 委託先（介護ソフトの提供元など）で起きたとき

介護ソフトやクラウドの提供元に記録や請求のデータの取扱いを委託していて、その提供元で漏えいが起きたときは、委託元である事業所が個人情報保護委員会に報告します。法第26条第1項のただし書きと施行規則第9条により、委託先は、委託元に速やかに通知すれば自分の報告義務を免れます。厚生労働省のガイダンスも、委託元と委託先の双方が報告義務を負うこと、連名で報告できること、委託先が委託元に通知したときは委託先の義務が免除されることを書いています。

クラウドの提供元が、契約上は預かったデータの中身を取り扱わないことになっている場合（委託にあたらない場合）も、報告義務を負うのは利用する事業所です。個人情報保護委員会のQ&A（Q6-22）は、この場合に事業所が自分の報告を提供元に代行させることはできるとし、提供元には契約等に基づいて事業所へ通知するなどの対応を求めています。

事業所にとって大事なのは、速報の期限が「委託先から通知を受けて知った時点」から数え始まることです。提供元が事故を把握してから事業所に連絡するまでに時間がかかれば、その分、事業所の対応は後ろにずれます。契約前に、提供元が事故を把握してから何日以内に連絡するかを確かめておく理由はここにあります。確かめる項目は[介護ソフトの委託先のセキュリティで確かめる項目の記事](https://kaigo-tool-navi.com/blog/kaigo-soft-security-kakunin)にまとめました。

## 市町村への事故報告（運営基準）

個人情報保護委員会への報告とは別に、介護保険の運営基準は、事故が起きたときに市町村、利用者の家族、居宅介護支援事業者などに連絡し、必要な措置を講じ、事故の状況と処置を記録することを事業所に求めています（たとえば訪問介護では、指定居宅サービス等の運営基準第37条。多くの居宅サービスで準用、または同じ趣旨の規定があります）。

個人情報の漏えいをこの事故報告の対象にするかどうかは、市町村によって違います。国の通知（介護保険最新情報Vol.1332）が原則すべて報告するよう求めているのは、死亡に至った事故と、医師の診断を受けて治療が必要になった事故の2つで、それ以外は各自治体の取扱いによります。たとえば船橋市は、報告する事故の例として「利用者等の個人情報の紛失や漏洩など」を挙げ、事故発生後速やかに、遅くとも5日以内を目安に報告するよう求めています。自分の事業所がある市町村の要綱か取扱要領で、個人情報の漏えいが対象に含まれるか、期限と様式はどうかを確かめてください。事故報告の様式と期限の全体は[事故報告書の記事](https://kaigo-tool-navi.com/blog/jiko-hokokusho)にあります。

記録のしかたによって、漏えいの範囲を確かめる時間は変わります。紙の記録は、どの利用者の何枚が無くなったかを突き合わせるのに時間がかかり、介護ソフトならアクセスの記録から範囲を絞れます。[介護ソフトの比較](https://kaigo-tool-navi.com/categories/kaigo-soft)では、各製品のページに公式サイトで確かめたセキュリティの項目を載せています。

## よくある質問

### 利用者1人分の記録を紛失しただけでも報告が必要ですか

必要です。介護の記録は病歴や障害の事実（要配慮個人情報）を含むため、施行規則第7条第1号により、人数にかかわらず報告の対象になります。例外は、高度な暗号化などの措置を講じたデータの場合だけです。紙の記録の紛失は「滅失」として漏えい等に含まれます。

### 漏えいしたかどうか分からない段階でも報告しますか

します。報告の対象は「発生したおそれがある事態」を含むので、不正アクセスの痕跡があるが流出が確定していない、という段階でも速報を出します。速報は判明している範囲でよく、確報の時点でも分からない項目は判明次第の追完が認められています。調べた結果、漏えいが無かったと分かったときは、確報でその旨を報告します。

### 介護ソフトの提供元が個人情報保護委員会に報告してくれれば、事業所は報告しなくてよいですか

事業所の報告は要ります。委託先（提供元）が委託元（事業所）に通知したときに免除されるのは委託先の方で、委託元の義務は残ります。双方が義務を負う場合は連名で報告することもできます。

### 本人が認知症などで、通知の内容を理解できないときはどうしますか

通則編は、本人への通知が困難な場合に、事案の公表や問合せ窓口の設置などの代替措置をとることを認めています。家族への連絡を本人への通知に代えられるかは事案ごとの判断になるので、迷うときは個人情報保護委員会に確かめてください。運営基準に基づく家族への連絡は、本人への通知とは別の義務として行います。

## 出典
1. e-Gov法令検索「個人情報の保護に関する法律」 https://laws.e-gov.go.jp/law/415AC0000000057
2. e-Gov法令検索「個人情報の保護に関する法律施行規則」 https://laws.e-gov.go.jp/law/428M60020000003
3. 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（令和8年6月一部改正） https://www.ppc.go.jp/files/pdf/260614_guidelines01.pdf
4. 個人情報保護委員会「漏えい等の対応とお役立ち資料」 https://www.ppc.go.jp/personalinfo/legal/leakAction/
5. 個人情報保護委員会「漏えい等報告フォーム」 https://roueihoukoku.ppc.go.jp/incident/
6. 個人情報保護委員会「「個人情報の保護に関する法律についてのガイドライン」に関するQ&A」 https://www.ppc.go.jp/personalinfo/faq/APPI_QA/
7. 厚生労働省「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」（令和8年4月1日一部改正） https://www.mhlw.go.jp/content/001470633.pdf
8. 厚生労働省「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」掲載ページ https://www.mhlw.go.jp/stf/seisakunitsuite/bunya/0000027272.html
9. e-Gov法令検索「指定居宅サービス等の事業の人員、設備及び運営に関する基準」 https://laws.e-gov.go.jp/law/411M50000100037
10. 厚生労働省「介護保険最新情報Vol.1332 介護保険施設等における事故の報告様式等について（通知）」（令和6年11月29日） https://www.mhlw.go.jp/content/001342369.pdf
11. 船橋市「【事故報告】介護保険事業者等（高齢者施設含む）」 https://www.city.funabashi.lg.jp/jigyou/fukushi_kosodate/001/05/p016596.html

制度・料金・製品の情報は変わることがあります。この記事は2026年10月11日時点の公開情報にもとづきます。